# Volo British Airways 38

Il volo British Airways 38 è stato un volo di linea internazionale dall'aeroporto Internazionale di Pechino, in Cina, all'aeroporto di Londra-Heathrow, nel Regno Unito, per un tragitto di 8 100 chilometri (4 400 nmi). Il 17 gennaio 2008, il Boeing 777-200ER che operava il volo precipitò a poca distanza dalla pista durante l'atterraggio a Heathrow. Non ci furono vittime; delle 152 persone a bordo, 47 riportarono ferite. È stata la prima volta nella storia che un Boeing 777 è stato dichiarato danneggiato irrimediabilmente.
Sull'incidente ha indagato l'Air Accidents Investigation Branch (AAIB) britannico che nel 2010 pubblicò il rapporto finale. La causa dell'incidente è stata attribuita alla presenza di cristalli di ghiaccio nel carburante, che ostruivano lo scambiatore di calore carburante/olio (FOHE) di ciascun motore. Ciò ha limitato il flusso di carburante ai motori quando è stata richiesta la spinta durante l'avvicinamento finale a Heathrow. L'AAIB ha identificato questo raro problema come specifico dei FOHE dei motori Rolls-Royce Trent 800. Rolls-Royce ha sviluppato una modifica al FOHE; l'Agenzia europea per la sicurezza aerea (EASA) ha imposto che tutti gli aeromobili interessati fossero dotati della modifica entro il 1º gennaio 2011. La Federal Aviation Administration degli Stati Uniti ha rilevato un incidente simile verificatosi su un Airbus A330 dotato di motori Rolls-Royce Trent 700 e ha emesso una direttiva di aeronavigabilità che imponeva la riprogettazione del FOHE nei motori Rolls-Royce Trent 500, 700 e 800.

## L'aereo

Il velivolo coinvolto nell'incidente era un Boeing 777-236ER, immatricolato G-YMMM (numero di serie del costruttore 30314, numero di linea 342), dotato di due motori Rolls-Royce Trent 895-17. L'aereo volò per la prima volta il 18 maggio 2001 e venne consegnato a British Airways il 31 maggio 2001. Aveva una capacità di 233 passeggeri.

## L'equipaggio

L'equipaggio era composto dal comandante Peter Burkill, 43 anni, dal primo ufficiale senior John Coward, 41, dal primo ufficiale Conor Magenis, 35, e da 13 assistenti di cabina. Il Comandante aveva 12700 ore di volo, delle quali 8450 su Boeing 777. Il primo ufficiale senior aveva volato per 9000 ore, di cui 7000 su Boeing 777. Il primo ufficiale aveva 5000 ore di volo, con 1120 su Boeing 777.

## L'incidente

Il volo 38 partì da Pechino alle 02:09 GMT. Sorvolò Mongolia, Siberia e Scandinavia ad un'altitudine che variava tra 34 800 piedi (10 600 m) e 40 000 piedi (12 000 m) e con temperature comprese tra -65 °C e -74 °C. Consapevole delle fredde condizioni esterne, l'equipaggio monitorò la temperatura del carburante, con l'intenzione di scendere a un livello più basso e più caldo in caso di pericolo di congelamento. Ciò non si rivelò necessario, poiché la temperatura del carburante, di tipo JET A-1, non scese mai al di sotto di -34 °C, ben al di sopra del suo punto di congelamento, -47 °C.
Sebbene il carburante stesso non si fosse congelato, lo fecero piccole quantità di acqua. Il ghiaccio aderì all'interno delle linee del carburante, probabilmente dove correvano attraverso i montanti che fissano i motori alle ali. Questo accumulo non ebbe alcun effetto sul volo fino alle fasi finali dell'avvicinamento a Heathrow, quando un aumento del flusso di carburante e temperature più elevate ne causarono il rilascio. Questo causò la formazione di una poltiglia morbida di ghiaccio che fluì in avanti fino a raggiungere gli scambiatori di calore olio-combustibile (FOHE) dove si bloccò di nuovo, causando una restrizione nel flusso di carburante ai motori.
I primi sintomi di questa limitazione furono rilevati dall'equipaggio alla quota di 720 piedi (220 m) e alla distanza di 3,2 km dal touchdown, quando i motori non furono in grado di rispondere ripetutamente a una richiesta dell'automanetta di maggiore spinta. Nel tentativo di mantenere il sentiero di discesa del sistema di atterraggio strumentale (ILS), l'autopilota sacrificò la velocità, ridotta a 108 nodi (200 km/h) a 200 piedi (61 m). L'autopilota si disattivò a 150 piedi (46 m), poiché il copilota ne prese il controllo manuale. Nel frattempo, il comandante ridusse l'impostazione dei flap da 30 a 25 gradi per diminuire la resistenza dell'aereo e allungare la planata.
Alle 12:42, il 777 passò appena sopra il traffico della A30 e sopra la strada perimetrale meridionale dell'aeroporto, atterrando sull'erba a circa 270 metri di distanza dalla pista 27L. Il comandante dichiarò un'emergenza al controllo del traffico aereo pochi secondi prima dell'impatto. La decisione di retrarre i flap ebbe una conseguenza diretta nel consentire all'aeromobile di sorvolare in sicurezza l'A30, evitando uno schianto nel traffico.
Durante l'impatto e il breve scivolamento, il carrello di atterraggio anteriore collassò, quello destro si separò dal velivolo penetrando nel serbatoio centrale del carburante e nella cabina, e quello sinistro fu spinto verso l'alto attraverso l'ala. L'aeromobile si fermò vicino alla soglia della pista. Una quantità significativa di carburante fuoriuscì, ma non vi fu nessun incendio. Quattro membri dell'equipaggio e otto passeggeri subirono lievi lesioni, un passeggero rimase ferito gravemente (commozione cerebrale e una gamba rotta).

## Conseguenze

Il London Ambulance Service inviò tre auto a risposta rapida, nove ambulanze e diversi ufficiali per valutare la situazione. I feriti furono portati al vicino ospedale di Hillingdon.
Willie Walsh, amministratore delegato di British Airways, rilasciò una dichiarazione elogiando le azioni dell'equipaggio, che "ha svolto un lavoro magnifico e ha evacuato in sicurezza tutti i 136 passeggeri ... Il comandante dell'aereo è uno dei nostri con più esperienza e vola con noi da quasi 20 anni. I nostri equipaggi sono addestrati per affrontare queste situazioni." Ha anche elogiato i servizi antincendio, sanitari e di polizia.
Tutti i voli in entrata e in uscita da Heathrow furono fermati dopo l'incidente. Quando le operazioni ripresero, i voli in uscita a lungo raggio furono ritardati o cancellati, tutti i voli a corto raggio furono cancellati per il resto della giornata. Alcuni voli in arrivo furono ritardati e 24 dirottati verso Gatwick, Luton e Stansted. Nel tentativo di minimizzare le interruzioni dei viaggi, l'aeroporto di Heathrow ricevette l'autorizzazione da parte del Dipartimento dei trasporti per operare alcuni voli notturni. Nonostante ciò, il giorno seguente (18 gennaio) un totale di 113 voli a corto raggio furono cancellati a causa degli equipaggi e degli aeromobili lontani dalla posizione che avrebbero avuto senza le cancellazioni.
Nel pomeriggio del 20 gennaio, due gru sollevarono i resti del velivolo su alcune piattaforme a ruote e lo rimossero dalla fine della pista. Vennero portati verso gli hangar di manutenzione di British Airways di Heathrow per lo stoccaggio e ulteriori ispezioni da parte dell'Air Accidents Investigation Branch (AAIB). Dopo aver valutato i danni e i costi per un'eventuale riparazione, la compagnia scelse di far demolire l'aeromobile; ciò la fece diventare la prima perdita di un Boeing 777 nella storia. Venne demolito nella primavera del 2009. Lo smantellamento e lo smaltimento furono gestiti da Air Salvage International.
Durante una conferenza stampa il giorno dopo l'incidente, il Comandante Peter Burkill dichiarò che non avrebbe commentato pubblicamente la causa dell'incidente mentre erano in corso le indagini dell'AAIB. Rivelò che il primo ufficiale senior John Coward stava pilotando l'aereo e che anche il primo ufficiale Conor Magenis era presente nel cockpit al momento dell'incidente. Coward diede più informazioni in un'intervista successiva, affermando: "All'avvicinarsi dell'atterraggio, mi resi conto che non c'era potenza...improvvisamente non c'era nulla da nessuno dei motori e l'aereo ha iniziato a planare".
Burkill e Coward furono tenuti a terra per un mese dopo l'incidente, venendo valutati per il disturbo da stress post-traumatico. Cinque mesi dopo, Burkill riprese a volare ma rimase "ossessionato" dall'accaduto tanto che, con la compagnia aerea, si accordò per un licenziamento volontario nell'agosto 2009. Successivamente creò un blog e scrisse un libro, "Thirty Seconds to Impact", che denunciava il trattamento riservato dalla British Airways nella situazione in seguito allo schianto. Nel novembre 2010, Burkill si riunì a British Airways, dichiarando "sono lieto che le discussioni con British Airways siano giunte a una conclusione reciprocamente felice. A mio avviso, British Airways è l'apice della carriera di qualsiasi pilota ed è mio onore e privilegio essere tornato alla compagnia aerea alla quale mi sono unito da giovane."
Tutti i sedici membri dell'equipaggio hanno ricevuto la BA Safety Medal per le loro azioni durante l'incidente. La medaglia è il più alto onore di British Airways. L'11 dicembre 2008, l'equipaggio ha ricevuto il President's Award dalla Royal Aeronautical Society.
British Airways continua a utilizzare il numero di volo 38 sulla sua rotta da Pechino a Heathrow, solitamente con un Boeing 787 Dreamliner.

## Speculazioni iniziali

Un problema meccanico al motore non era stato considerato come causa probabile, data la bassissima probabilità di un guasto simultaneo a entrambi i propulsori. Era stato suggerito un difetto elettronico o software nei sistemi computerizzati di controllo, ma tali sono stati poi esclusi dai risultati del bollettino di febbraio.
Anche la speculazione secondo cui un'interferenza radio proveniente dal corteo del Primo Ministro era responsabile dell'incidente è stata eliminata come causa.
L'analisi iniziale di David Learmount, un editore di Flight International, era che "Il velivolo aveva una perdita di potenza totale o grave e ciò si è verificato molto tardi durante la fase finale di avvicinamento, questo si deduce dal fatto che il pilota non ha avuto il tempo di comunicare con il controllo del traffico aereo o con i passeggeri". Learmount ha continuato dicendo che per atterrare in soli 350-400 metri, l'aereo doveva essere molto vicino allo stallo. Infatti, il comandante riferì che aveva suonato il sistema di allarme di stallo dell'aereo.
Il METAR in vigore al momento dell'incidente non segnalava raffiche di vento o fenomeni di wind shear. Venne ipotizzato un bird strike, ma non vi erano stati avvistamenti o segnalazioni radar di volatili. Le speculazioni si concentrarono su elettronica e problemi di flusso di carburante. Poche settimane dopo l'incidente, quando i sospetti iniziarono a cadere sulla possibilità di ghiaccio nel combustibile, United Airlines intraprese una revisione delle procedure testando e svuotando il carburante dei suoi aerei, mentre American Airlines considerò la possibilità di passare a un altro tipo di carburante per i voli polari.

## Le indagini

L'Air Accidents Investigation Branch (AAIB) indagò sull'incidente, con la partecipazione del National Transportation Safety Board (NTSB) degli Stati Uniti, di Boeing e di Rolls-Royce. L'indagine richiese due anni per essere completata e l'AAIB pubblicò la relazione finale il 9 febbraio 2010. Nel corso dell'inchiesta vennero emesse 3 relazioni preliminari e 18 raccomandazioni di sicurezza.
Le scatole nere, il registratore dei dati di volo (FDR) e il registratore vocale di cabina di pilotaggio (CVR), insieme al registratore ad accesso rapido (QAR), vennero recuperati dall'aereo entro poche ore dall'incidente e trasportati nel quartier generale dell'AAIB di Farnborough, a circa 50 chilometri da Heathrow. Le informazioni scaricate da questi dispositivi confermarono ciò che l'equipaggio aveva già detto agli investigatori, cioè che i motori non avevano risposto all'avanzamento delle manette durante la fase finale di avvicinamento.

### Il sistema di alimentazione del carburante

Nel suo bollettino speciale del 18 febbraio 2008, l'AAIB rilevò prove che la cavitazione era avvenuta in entrambe le pompe ad alta pressione del combustibile, il che poteva essere indicativo di una limitazione del flusso di carburante o di una sua eccessiva aerazione, sebbene il produttore avesse valutato entrambe le pompe come ancora in grado di funzionare a pieno flusso. Il rapporto indicava che l'aereo aveva volato attraverso aria insolitamente fredda (ma non eccezionalmente) e concludeva che la temperatura non era stata abbastanza bassa da congelare il carburante. I test stavano continuando nel tentativo di replicare il danno visto nelle pompe e di far corrispondere questo ai dati registrati sul volo. Un esame e un'analisi completi dovevano essere condotti sull'intero sistema di carburante dell'aereo, compresa la modellizzazione dei flussi di combustibile, tenendo conto degli effetti ambientali e aerodinamici.
L'AAIB pubblicò un ulteriore bollettino il 12 maggio 2008 che confermava che l'inchiesta stava continuando a concentrarsi sul flusso di carburante. Affermava che "La riduzione della spinta a entrambi i motori è stata il risultato di una riduzione del flusso di combustibile, e tutti i parametri del motore dopo la riduzione della spinta sono stati coerenti con questo". Il rapporto confermò che il carburante era di buona qualità e aveva un punto di congelamento inferiore alle temperature più fredde riscontrate, che sembra escludere il suo congelamento come causa. Come nel bollettino di febbraio, il rapporto indicava danni da cavitazione alle pompe del carburante ad alta pressione di entrambi i motori, indicando una pressione anormalmente bassa ai loro ingressi. Dopo aver escluso il congelamento o la contaminazione del carburante, l'inchiesta si concentrò quindi su ciò che aveva causato la bassa pressione agli ingressi della pompa. "Si sospettano restrizioni nel sistema di alimentazione tra i serbatoi di carburante degli aeromobili e ciascuna delle pompe HP (high pressure - ad alta pressione) del motore, con conseguente riduzione dei flussi di carburante." Il sistema di erogazione del carburante era in fase di studio presso la Boeing e i motori presso il produttore Rolls Royce a Derby.
L'AAIB pubblicò una relazione provvisoria il 4 settembre, nella quale affermava:
«Le indagini hanno dimostrato che il flusso di carburante ad entrambi i motori era limitato; molto probabilmente a causa del ghiaccio all'interno del sistema di alimentazione. È probabile che si sia formato dall'acqua che si trova naturalmente nel combustibile mentre l'aereo ha volato per un lungo periodo, con bassi flussi di carburante, in un ambiente insolitamente freddo; sebbene il Boeing 777 abbia sempre operato all'interno dei limiti operativi certificati.»
(AAIB, Interim Report - Boeing 777-236ER, G-YMMM)
Il rapporto sintetizzava i numerosi test effettuati nel tentativo di replicare il problema subito dal 777 di British Airways. Ciò includeva la creazione di un modello del sistema di erogazione del carburante di G-YMMM, al quale era stata aggiunta acqua per studiare le sue proprietà di congelamento. Dopo una serie di test, l'AAIB non era ancora riuscito a riprodurre il sospetto comportamento di formazione di ghiaccio e stava intraprendendo ulteriori indagini. Tuttavia, riteneva che i suoi test dimostrassero che il flusso di carburante era limitato e che l'acqua congelata nel carburante avrebbe potuto causare la restrizione, escludendo ipotesi alternative, come quella di un guasto del FADEC (sistema computerizzato di controllo del motore) dell'aeromobile. L'ipotesi più probabile nel rapporto era che il ghiaccio si era accumulato da qualche parte a valle, nelle pompe dei serbatoi di carburante sulle ali, e a monte, nelle pompe montate nei motori. O abbastanza ghiaccio si era accumulato per causare un blocco in un singolo punto, oppure il ghiaccio si era spostato attraverso le linee del carburante all'aumentare del flusso durante l'avvicinamento, e il ghiaccio dislocato aveva quindi formato un blocco da qualche parte a valle.
Poiché le temperature in volo non erano scese al di sotto dei parametri operativi previsti dal 777, l'Air Accidents Investigations Branch (AAIB) raccomandò a Boeing e Rolls-Royce di adottare misure provvisorie sugli aeromobili spinti da motori Trent 800 per ridurre il rischio che il ghiaccio limitasse l'erogazione di carburante. Boeing lo fece rivedendo le procedure operative dei 777 in modo da ridurre le possibilità del verificarsi di tali blocchi e modificando la procedura da seguire in caso di perdita di potenza per tenere conto della possibilità che l'accumulo di ghiaccio fosse la causa.
Il rapporto continuava raccomandando che i regolatori del trasporto aereo (FAA e EASA) avrebbero dovuto valutare se altri tipi di aeromobili e altri motori avrebbero potuto essere interessati dallo stesso problema e considerare la possibilità di modificare il processo di certificazione, allo scopo di garantire che i futuri progetti di aeromobili non fossero sensibili al pericolo di formazione di ghiaccio nel carburante.
Il rapporto riconosceva che una riprogettazione del sistema di alimentazione non sarebbe stata una pratica a breve termine e suggeriva due modi per ridurre il rischio. Uno era di usare un additivo per carburanti (FSII) che impedisse la formazione di ghiaccio fino a -40°C Le forze aeree occidentali hanno utilizzato FSII per decenni e, sebbene non sia ampiamente utilizzata nell'aviazione commerciale, è comunque una pratica approvata per i 777.

### Teorie rifiutate

Il bollettino speciale del 18 febbraio affermava che "non c'erano prove di un difetto meccanico o ingestione di uccelli o ghiaccio", che "non c'erano prove di contaminazione del carburante o livelli insoliti di contenuto d'acqua" all'interno del combustibile e che i dati registrati indicavano che "non c'erano anomalie nei principali sistemi avionici". Alcuni piccoli corpi estranei, tuttavia, erano stati rilevati nei serbatoi di carburante, anche se in seguito si era concluso che questi avessero attinenza con l'incidente.
Il bollettino speciale del 12 Maggio 2008 escludeva specificamente alcune altre possibili cause, affermando: "Non vi è alcuna prova di un incontro con un vortice di scia, di un bird strike o di ghiaccio nei motori. Non vi sono prove di comportamenti anomali in alcuno dei sistemi dell'aeromobile che suggeriscono interferenze elettromagnetiche".

### La probabile causa

L'AAIB ha pubblicato il rapporto finale il 9 febbraio 2010. Ha concluso:
«L'indagine ha identificato che la riduzione della spinta era dovuta al flusso limitato di carburante verso entrambi i motori. L'indagine ha identificato i seguenti probabili fattori causali che hanno portato alla restrizione del flusso di carburante:
* Ghiaccio accumulato all'interno del sistema di alimentazione è stato rilasciato, causando una limitazione al flusso di carburante del motore nella parte anteriore del FOHE [Scambiatore di calore olio-combustibile], su entrambi i motori.
* Il ghiaccio si era formato all'interno del sistema di alimentazione del carburante, dall'acqua che si trovava naturalmente nel combustibile, mentre il velivolo operava con flussi bassi per un lungo periodo e le temperature del carburante si trovavano in un'area descritta come "intervallo appiccicoso".
* Il FOHE, sebbene conforme ai requisiti di certificazione applicabili, si è dimostrato suscettibile a restrizioni di fronte a ghiaccio morbido ad alta concentrazione, con una temperatura del carburante inferiore a -10 °C e un flusso di combustibile al di sopra del minimo.
* I requisiti di certificazione, ai quali gli aeromobili e i sistemi di alimentazione del motore dovevano conformarsi, non hanno tenuto conto di questo fenomeno poiché il rischio non era riconosciuto in quel momento.»
(AAIB, Report on the accident to Boeing 777-236ER, G-YMMM, at London Heathrow Airport on 17 January 2008)

### Altre scoperte

L'AAIB studiò anche la resistenza all'urto dell'aeromobile durante la sequenza dell'incidente. Osservò che il punto di attacco del carrello principale (MLG) era il longherone posteriore dell'ala dell'aeromobile; poiché questo formava anche la parete posteriore dei principali serbatoi di carburante, lo schianto aveva causato la rottura di uno di essi. Venne raccomandato che Boeing ridisegnasse l'attacco del carrello di atterraggio per ridurre la probabilità di perdita di carburante in circostanze simili.
Il rapporto continua facendo notare che le maniglie degli estintori dei motori erano state azionate dall'equipaggio prima degli interruttori di blocco del flusso di carburante. Le prime avevano anche l'effetto di interrompere l'alimentazione elettrica agli interruttori del carburante, il che significava che il combustibile poteva continuare a fluire, creando una situazione potenzialmente pericolosa. Il rapporto ribadiva un precedente bollettino nel quale Boeing aveva fornito consigli procedurali sull'azionamento degli interruttori del carburante prima delle maniglie antincendio. Continuava: <<Questo non è stato una causale dell'incidente, ma avrebbe potuto avere gravi conseguenze in caso di incendio durante l'evacuazione>>. Infatti, la necessità di pubblicare la raccomandazione di sicurezza 2008-2009, che riguarda tutti i 777 che non avevano ancora incorporato il bollettino di servizio Boeing (SB 777-28-0025), come nel caso del G-YMMM, era stata indicata come la ragione principale nella pubblicazione del primo bollettino speciale, ben prima che fosse completata la stessa indagine sull'incidente.

## Incidenti simili

Il 26 novembre 2008, il volo Delta Air Lines 18 da Shanghai ad Atlanta subì la perdita di potenza a un motore durante la fase di crociera a 39 000 piedi (12 000 m). L'equipaggio seguì le procedure di recupero manuale e il volo proseguì senza incidenti. L'NTSB degli Stati Uniti assegnò a questo incidente uno degli investigatori che avevano lavorato all'indagine del volo British Airways 38 e cercò in modo specifico qualsiasi somiglianza tra i due incidenti. Il Safety Recommendation report dell'NTSB concluse che un intasamento causato dalla formazione di ghiaccio era la causa più probabile. Le prove erano più forti in questo caso, poiché i dati del registratore di volo avevano permesso agli investigatori di individuare dove era limitato il flusso di carburante.
All'inizio del 2009, Boeing inviò un aggiornamento alle compagnie aeree, collegando gli incidenti di "perdita di potenza" di British Airways e Delta Air Lines e identificando il problema come specifico degli scambiatori di calore olio-combustibile di Rolls-Royce. Inizialmente si pensava che altri tipi di aereo non fossero interessati dal problema. Tuttavia, nel maggio 2009, un altro incidente simile si verificò in un Airbus A330 spinto da motori Trent 700.
Le inchieste portarono Boeing a ridurre il tempo raccomandato di rimanenza a temperature sotto i -10 °C ai 777 alimentati da motori Rolls-Royce Trent serie 800, da tre a due ore.
L'11 marzo 2009, il National Transportation Safety Board emise una raccomandazione di sicurezza urgente, SB-09-11, chiedendo la riprogettazione degli scambiatori di calore olio-combustibile utilizzati nei motori Rolls-Royce Trent serie 800. Un accumulo di ghiaccio nell'acqua naturalmente presente nel carburante aveva causato una limitazione del flusso ai motori del volo British Airways 38. Rolls-Royce aveva già iniziato a ridisegnare il componente, che sarebbe stato pronto al più tardi a marzo 2010. Tutti i motori interessati dovevano essere dotati del componente riprogettato entro sei mesi dalla sua certificazione. Nel maggio 2010, la direttiva di aeronavigabilità venne estesa anche ai motori delle serie Trent 500 e 700.

## Processi e cause

Nel novembre 2009, 10 passeggeri avrebbero voluto citare in giudizio Boeing per l'incidente alla corte della Contea di Cook, nell'Illinois, negli Stati Uniti. Ciascuno dei dieci querelanti avrebbe dovuto ricevere un risarcimento fino a 1000000 dollari americani (circa 884000€). La causa sosteneva che il progetto del velivolo era "difettoso e irragionevolmente pericoloso", che Boeing "violava il suo dovere di diligenza" e violava anche le "garanzie di commerciabilità e idoneità". Le questioni vennero risolte attraverso accordi in via extragiudiziale nel 2012.

## Nella cultura di massa

L'incidente del volo British Airways 38 è descritto nel secondo episodio della stagione 10 della serie televisiva Indagini ad alta quota. L'episodio si intitola "L'enigma di Heathrow".